Aviso de seguridad sobre la inyección arbitraria de comandos a través de la consola de desarrollo del navegador en los modelos Archer BE450 y BE7200 de TP-Link (CVE-2026-5509)

Descripción de la vulnerabilidad y del impacto:

CVE-2026-5509

Existe una vulnerabilidad de inyección de comandos autenticada en los routers Archer BE450v1 y BE7200 v1 que permite a un administrador ejecutar comandos de sistema arbitrarios a través de la interfaz de administración web. Tras autenticarse correctamente en la interfaz de administración, un atacante puede aprovechar la consola de desarrollador del navegador proporcionando una entrada manipulada que se pasa a comandos del sistema backend sin una sanitización adecuada.

La explotación exitosa permite la ejecución de comandos arbitrarios con privilegios elevados en el dispositivo, lo que puede permitir al atacante iniciar servicios no autorizados, modificar la configuración del sistema o comprometer completamente el entorno operativo del router.

Puntuación CVSS v4.0: 8,5 / Alta

CVSS:4.0/AV:A/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Productos y versiones afectados y correcciones:

Recomendaciones:

Recomendamos encarecidamente a los usuarios con dispositivos afectados que tomen las siguientes medidas:

1. Descargue y actualice a la última versión de firmware para corregir la vulnerabilidad:

EN: Download for Archer BE450 | TP-Link

JP: Archer BE450 Content | TP-Link Japan

Archer BE7200 Content | TP-Link Japan

Nota: El BE450 y el BE7200 no se comercializan en EE. UU.

Aviso legal:

Este aviso se proporciona únicamente con fines informativos y está sujeto a cambios sin previo aviso. La información se facilita «tal cual» sin garantías de ningún tipo. TP-Link recomienda a los clientes que apliquen las actualizaciones de firmware disponibles o implementen las soluciones alternativas documentadas indicadas en este aviso. Los dispositivos o sistemas que no se actualicen ni mitiguen según lo descrito podrán seguir siendo vulnerables, y TP-Link declina cualquier responsabilidad por daños o pérdidas derivados del incumplimiento de dichas actualizaciones.